Zabezpieczanie serwera pocztowego ISPConfig 3 za pomocą certyfikatu SSL Let’s Encrypt

Zaloguj się na swój serwer VPS przez SSH i zaktualizuj system:

sudo apt update && sudo apt upgrade -y

Zainstaluj podstawowe narzędzia, jeśli nie są jeszcze dostępne:

sudo apt install curl wget nano -y

Sprawdź, czy rekordy DNS dla Twojej domeny (np. mail.twojadomena.pl) są poprawnie skonfigurowane i wskazują na adres IP serwera VPS. Możesz to zweryfikować poleceniem:

dig mail.twojadomena.pl

Upewnij się, że porty 80 i 443 są otwarte w zaporze sieciowej:

sudo ufw allow 80
sudo ufw allow 443
sudo ufw status

Instalacja Certbot

Zainstaluj Certbot, narzędzie do uzyskiwania i odnawiania certyfikatów Let’s Encrypt:

sudo apt install certbot python3-certbot-apache -y

Jeśli używasz Nginx zamiast Apache, zainstaluj odpowiedni pakiet:

sudo apt install certbot python3-certbot-nginx -y

Uzyskanie certyfikatu SSL

Uruchom Certbot, aby uzyskać certyfikat dla Twojej domeny pocztowej:

sudo certbot certonly --webroot -w /var/www/html -d mail.twojadomena.pl

Wyjaśnienie parametrów:

• --webroot: Używa metody webroot do weryfikacji domeny.
• -w /var/www/html: Ścieżka do katalogu webroot serwera WWW.
• -d mail.twojadomena.pl: Domena, dla której uzyskujesz certyfikat.

Po wykonaniu polecenia certyfikaty zostaną zapisane w katalogu /etc/letsencrypt/live/mail.twojadomena.pl/. Kluczowe pliki to:

• fullchain.pem: Pełny łańcuch certyfikatów.
• privkey.pem: Klucz prywatny.

Postfix to serwer SMTP używany w ISPConfig. Skonfiguruj go, aby używał certyfikatu Let’s Encrypt:

Otwórz plik konfiguracyjny Postfix:

sudo nano /etc/postfix/main.cf

Dodaj lub zmodyfikuj następujące linie:

smtpd_tls_cert_file=/etc/letsencrypt/live/mail.twojadomena.pl/fullchain.pem
smtpd_tls_key_file=/etc/letsencrypt/live/mail.twojadomena.pl/privkey.pem
smtpd_use_tls=yes
smtpd_tls_security_level=may
smtp_tls_security_level=may
smtpd_tls_auth_only=yes
smtpd_tls_certified_server=yes

Zrestartuj Postfix, aby zastosować zmiany:

sudo systemctl restart postfix

Dovecot obsługuje protokoły IMAP i POP3. Skonfiguruj go, aby używał certyfikatu SSL:

Otwórz plik konfiguracyjny Dovecot:

sudo nano /etc/dovecot/conf.d/10-ssl.conf

Zmodyfikuj sekcję SSL:

ssl = yes
ssl_cert = </etc/letsencrypt/live/mail.twojadomena.pl/fullchain.pem>
ssl_key = </etc/letsencrypt/live/mail.twojadomena.pl/privkey.pem>
ssl_protocols = !SSLv2 !SSLv3
ssl_cipher_list = HIGH:!aNULL:!MD5

Zrestartuj Dovecot:

sudo systemctl restart dovecot

Roundcube to aplikacja webmailowa w ISPConfig. Skonfiguruj ją, aby działała z HTTPS:

W panelu ISPConfig przejdź do Strony > Strony internetowe i wybierz witrynę dla Roundcube (np. mail.twojadomena.pl).

W zakładce SSL wklej ścieżki do certyfikatu:

• Certyfikat SSL: /etc/letsencrypt/live/mail.twojadomena.pl/fullchain.pem
• Klucz SSL: /etc/letsencrypt/live/mail.twojadomena.pl/privkey.pem

Włącz opcję Let’s Redirect to HTTPS, aby wymusić szyfrowanie.

Alternatywnie, jeśli używasz Apache, edytuj plik virtual host:

sudo nano /etc/apache2/sites-available/mail.twojadomena.pl.vhost

Dodaj lub zmodyfikuj sekcję SSL:

    ServerName mail.twojadomena.pl
    DocumentRoot /var/www/mail.twojadomena.pl/web/roundcube
    SSLEngine on
    SSLCertificateFile /etc/letsencrypt/live/mail.twojadomena.pl/fullchain.pem
    SSLCertificateKeyFile /etc/letsencrypt/live/mail.twojadomena.pl/privkey.pem

Zrestartuj Apache:

sudo systemctl restart apache2

Jeśli używasz Nginx, edytuj plik konfiguracyjny:

sudo nano /etc/nginx/sites-available/mail.twojadomena.pl

Dodaj sekcję SSL:

server {
    listen 443 ssl;
    server_name mail.twojadomena.pl;
    root /var/www/mail.twojadomena.pl/web/roundcube;
    ssl_certificate /etc/letsencrypt/live/mail.twojadomena.pl/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/mail.twojadomena.pl/privkey.pem;
}

Zrestartuj Nginx:

sudo systemctl restart nginx

Certyfikaty Let’s Encrypt są ważne przez 90 dni, więc skonfiguruj automatyczne odnawianie:

Sprawdź harmonogram Certbot:

sudo systemctl status certbot.timer

Jeśli nie jest aktywny, włącz go:

sudo systemctl enable certbot.timer
sudo systemctl start certbot.timer

Dodaj skrypt do automatycznego restartu usług po odnowieniu certyfikatu:

sudo nano /etc/letsencrypt/renewal-hooks/post/restart-services.sh

Dodaj zawartość:

#!/bin/bash
systemctl restart postfix
systemctl restart dovecot
systemctl restart apache2
# systemctl restart nginx # Odokomentuj, jeśli używasz Nginx

Nadaj uprawnienia do wykonania:

sudo chmod +x /etc/letsencrypt/renewal-hooks/post/restart-services.sh

Testuj odnowienie certyfikatu:

sudo certbot renew --dry-run

Przetestuj zabezpieczenie serwera pocztowego:

• SMTP: Skonfiguruj klienta pocztowego (np. Thunderbird) z użyciem portu 587 i TLS. Wyślij testowy e-mail.
• IMAP: Skonfiguruj klienta z portem 993 i SSL/TLS. Sprawdź odbieranie e-maili.
• Roundcube: Otwórz https://mail.twojadomena.pl/roundcube w przeglądarce i upewnij się, że połączenie jest szyfrowane.
• Sprawdzenie certyfikatu: Użyj narzędzia online, np. SSL Labs, aby zweryfikować poprawność konfiguracji SSL.

• Certyfikat nie działa? Sprawdź logi Certbot: sudo tail -f /var/log/letsencrypt/letsencrypt.log.
• Problemy z Postfix??: Sprawdź logi: sudo tail -f /var/log/mail.log.
• Roundcube nie ładuje HTTPS??: Upewnij się, że konfiguracja Apache/Nginx jest poprawna i port 443 jest otwarty.
• Problemy z wydajnością??: Rozważ uaktualnienie swojego serwera VPS na NetCloud24 dla większej mocy obliczeniowej.